Hvala na povratnim informacijama.

Razmotrimo hipotetički Webex partner po imenu TelSP kako bismo ilustrirali različite modele implementacija koje partner može usvojiti.

Evo specifikacija i zahtjeva na visokoj razini TelSP -a:

• Partner planira koristiti sip.telsp.com kao domenu najviše razine koja se dijeli sa svim kupcima kojima upravljaju.

• Partner je vlasnik sip.telsp.com i može upravljati DNS infrastrukturom i certifikatima, upravljati DNS adresama i potpisati certifikate za ovu domenu i njene poddomene.

• Partner može implementirati dva različita kontrolora granica sesije (fizičke ili virtualne) kao lokalne pristupnike za zajednički pristup PSTN među krajnjim kupcima.

• Partner ima dvije fizičke stranice, a obje ove stranice dijele PSTN povezanost:

  • Miami

  • Chicago

• TelSP upravlja svojim lokalnim pristupnicima u ime dvaju kupaca CuSTA i CustB kako se od ovoga navode.

Željeni scenarij je nastajanje/prekid PSTN-a za oba kupca koji koriste prolaze iz Miamija i Chicaga koje isporučuje partner, kao što je prikazano na slici:

Primjer pojednostavljenog postavljanja

Sljedeći pojednostavljeni primjer pokazuje kako identitet Peer certifikata omogućuje da jedan certifikat podržava više klijenata:

• Certifikat —sip. telsp.com

• Prtljažnici

  • custa.sip.telsp.com

  • custb.sip.telsp.com

• Identitet vršnjačkog certifikata —sip.tel sp.com

• Rezultat

  • Koristi se pojedinačni certifikat

  • Podržani su višestruki kupci

Povezivanje lokacije korisnika s magistralom i gateway-om

Sljedeći odjeljci pružaju detaljna mapiranja konfiguracije za gore opisanu implementaciju.

Webex Callingomogućuje stvaranje debla i dijeljenje prtljažnika na više lokacija. Prilikom izrade prtljažnika povežite prtljažnik s lokacijom.

Za CuSta, detalji prtljažnika su sljedeći:

Ilustracija prikazuje povezanost lokacije kupca na Gateway i Trunk za CuSTA:

U ovoj implementaciji, prtljažnik povezan s lokacijom primarna je PSTN veza za tu lokaciju. Drugi prtljažnik koristi se kao sekundarna PSTN veza ili ruta za određene unose plana biranja. Implementacija primarnog i sekundarnog odnosa PSTN veze odvija se kroz koncept Route Group. Detalje potražite u odjeljku Konfiguriranje debla pristupnika u odjeljku Control Hub.

Za CustB kreira se sli čna postavka sa sljedećim deblovima:

Ilustracija prikazuje povezanost lokacije kupca na Gateway i Trun k za CustB:

Ilustracija prikazuje treću lokaciju, naime New York, koju možete dodati kasnije i ukazati na trunk_chicago deblo kao njegovu primar nu PSTN vezu.

Prilikom postavljanja lokalnog pristupnika koji dijeli više debla, Cisco nalaže korištenje jedinstvenog FQDN po trupcu. Detalje potražite u odjeljku Konfiguriranje debla, -grupa ruta, -and-dial plans-for-Webex-pozivanje.

Korištenje IP adrese i dobro poznatog porta po prtljažniku idealan je izbor. Međutim, nabavka javne IPv4 adrese može biti izazov nekim partnerima koji žele koristiti jednu adresu po pristupniku po web mjestu.

Stoga pročitajte ove važne upute:

• Cisco ne propisuje IP adresu po prtljažniku.

• Trunk adresa može se riješiti na jedinstvenu IP adresu ili na adresu koju dijeli drugi prtljažnik.

• Cisco preporučuje konfiguriranje svake magistralne veze jedinstvenom IP adresom i kombinacijom priključaka na lokalnom pristupniku iz sljedećih razloga:

  1. Održavanje zasebnih TCP veza po prtljažniku podržava maksimalni istodobni kapacitet poziva po prtljažniku. Dijeljenje IP adresa i kombinacija priključaka preko debla može negativno utjecati na kapacitet poziva.

  2. Pruža izolaciju na razini mreže između kupaca

  3. Tipično je za kontrolore granica sesije da ponovno koriste efemernu TCP priključnu vezu osim ako postoji izolacija osigurana kao jedinstveni stanar podijeljen IP adresom ili jedinstvenim priključkom za slušanje za stanara.

  4. Povezivanje ili veze po prtljažniku kroz izolaciju stanara osiguravaju bolju propusnost posebno u mrežnim uvjetima s velikim gubitkom podataka. Stoga promet jednog kupca ne utječe na drugog.

IP adresa po pristupniku: Konfiguracija trupca i preporuke

Pogledajte ove primjere različitih modela za planiranje:

Model 1: Jedinstvena IP adresa po prtljažniku

U ovom modelu, svi debli hostirani na oba pristupnika rješavaju se na jedinstvenu IP adresu i svaki od tih debla može ili ne mora koristiti isti port, ali idealno isti port.

Predstavljanje informacija u tabličnom obliku:

U istom modelu partner može koristiti SRV adresu. Webex Callingdopušta samo "_gutljaje. _tcp" kao kombinacija usluge i protokola za otkrivanje peer adrese ako je to SRV zapis.

Uzorak rješavanja SRV zapisa

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.custa.sip.telsp.com

Model 2: Zajednički IP po pristupniku, jedinstveni portovi za slušanje

U ovom modelu, svi trunkovi hostirani na lokalnom pristupniku Chicaga rješavaju se na istu IP adresu, a svi debli hostirani na lokalnom pristupniku Miamija rješavaju se na drugi IP. Međutim, kada se koristi isti IP, svaki se prtljažnik konfigurira pomoću FQDN u upravljačkom čvorištu i konfiguriran je s jedinstvenim priključkom.

U istom modelu partner koristi SRV adresu. Webex Callingdopušta samo "_gutljaje. _tcp" kao kombinacija usluge i protokola za otkrivanje peer adrese ako je to SRV zapis.

Drugi uzorak rješavanja SRV zapisa je sljedeći. U ovom primjeru postoji 1 A zapis po IP adresi. Međutim, port je jedinstven po adresi i predstavljen je kroz određ enu DNS konfiguraciju koja povezuje SRV adresu s desnim portom.

nslookup -type=srv _sips._tcp.trunk.miami.custa.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custa.sip.telsp.com = 3600 50 5061 miami.sip.telsp.com

nslookup -type=srv _sips._tcp.trunk.miami.custb.sip.telsp.com
Server:		8.8.8.8
Address:	8.8.8.8#53

Non-authoritative answer:
_sips._tcp.trunk.miami.custb.sip.telsp.com = 3600 50 5062 miami.sip.telsp.com

Za jezgre temeljene na SRV-u identitet Peer certifikata u početku se popunjava iz konfiguriranih SRV vrijednosti i može se prilagoditi, podložno istim pravilima provjere valjanosti.

Partner posjeduje telsp.com i njegove poddomene. Stoga je DNS poslužitelj i ovlaštenje za dobi vanje certifikata potpisanih od strane odobrenog certifikacijskog tijela na partneru.

• Cisco Webexočekuje da partner objavi FQDN ili SRV adresu uključujući A Records u javnoj domeni.

• Cisco Webexočekuje da partner koristi jedno od tijela za certifikaciju navedenih u ovom dokumentu.

Prilikom konfiguriranja debla pomoću FQDN ili SRV:

• Svaki prtljažnik i dalje mora imati jedinstveni FQDN za usmjeravanje i identifikaciju

• DNS zapisi (A Record ili SRV) moraju biti ispravno konfigurirani i razlučivi

• Ovi FQDNS koriste se za signalizaciju i usmjeravanje. Provjera valjanosti certifik ata provodi se prema konfiguriranom identitetu Peer certifikata, koji podrazumijeva osnovne vrijednosti FQDN, ali se može prilagoditi zajedničkom identitetu u vlasništvu partnera.

  Polje identiteta Peer certifikata unaprijed se popunjava iz osnovnog FQDN-a i može se nadoknaditi zajedničkom domenom u vlasništvu partnera kako bi se koristio jedan certifikat u više trgovačkih grupa korisnika.

Postavljanje pristupnika

Koristite ove resurse za postavljanje lokalnog pristupnika.

Da biste postavili Cisco CUBE, upotrijebite ovaj postupak: Konfigurirajte lokalni pristup Cisco IOS nik na XE Webex Calling

Možete postaviti odobrene SBC treće strane, pogledajte: Početak rada s lokalnim pristupnikom

Postavljanje pristupnika hostiranog partnera u skladu s ovim smjernicama: Za počnite s lokalnim pristupnikom

Postavite svaki prtljažnik prema odgovarajućim uputama za SBC uređaj. Upute za Cisco CUBE potražite u nastavku: Konfiguriranje lokalnog pristup Cisco IOS nika na XE Webex Calling

Postavite glasovne klase, birajte vršnjake i birajte vršnjačke grupe za dolazni i odlazni promet za prtljažnik prema slici:

Tijekom pružanja debla, Control Hub pruža mogućnost konfiguriranja identiteta Peer certifikata na stranici A dd Trunk. Ovo poboljšanje pojednostavljuje tijek rada omogućujući partnerima da konfiguriraju i ponovno koriste jednu domenu najviše razine u više organizacija kupaca. Ovaj pristup eliminira potrebu za od vojenim certifikatima po kupcu ili prtljažniku, smanjujući operativni napor i pojednostavljujući postupak postavljanja.

Prilikom konfiguriranja debla u Control Hubu definirajte identitet Peer certifikata kako biste omogućili korištenje jednog certifikata za domenu najviše razine u svim organizacijama kupaca . Pobrinite se da CN ili SAN certifikat uključuje ovu domenu najviše razine. S identi tetom Peer cert, lokalni pristupnik koristi jedan certifikat čiji CN ili SAN sadrži partnerovu zajedničku domenu (na primjer, sip.telsp.com). Potvrde zamjenskih znakova (primjera *.sip.telsp.com) nisu podržane. Webex Callingprihvaća ovaj certifikat za svaki korisnički prtljažnik koji je eksplicitno konfiguriran s tom vri jednošću kao identitetom Peer certifikata. Certifikat mora sadržavati točnu konfiguriranu vrijednost identiteta Peer certifikata u svom CN ili SAN. Time se eliminira potreba za konfiguriranjem zasebnih certifikata ili CN/SAN unosa za pojedinačne magistralne FQDNS.

Provjera domene i korištenje certifikata

Važno je razumjeti kako se provjera domene razlikuje od korištenja certifikata:

• Provjera domene (po klijentu) —Svaka organizacija korisnika mora neovisno provjeriti domenu (na primjer, sip.telsp.com) dodavanjem jedinstvenog TXT zapisa u DNS. Time se osigurava da partner posjeduje domenu i sprječava neovlašteno korištenje.

• Upravljanje certifikatima (globalno) — Pojedinačni certifikat izdan za partnerovu domenu najviše razine može se dijeliti na svim stranama kupaca pomoću identiteta Peer certifikata. Ne postoji zahtjev za održavanje zasebnih certifikata po kupcu ili po prtljažniku.

Ponašanje identiteta vršnjaka

Peer cert identitet definira identitet koji Webex Calling očekuje u certifikatu koji je predstavio lokalni pristupnik.

Kada je konfiguriran:

• Webex Callingpotvrđuje certifikat usklađivanjem konfiguriranog identiteta Peer certifikata s CN ili SAN u certifikatu

• Ako se vrijednosti podudaraju, TLS veza je prihvaćena

• Ako se vrijednosti ne podudaraju, veza se odbija

Autentifikaciju mogu samo debla koji su eksplicitno konfigurirani s odgovarajućim identitetom Peer certi ficiranja.

Samo provjera potvrde nije jedina provjera koja se provodi tijekom provjere autentičnosti. Osim što potvrđuje certifikat CN ili SAN prema konfiguriranom identitetu Peer certifikata, Webex Calling također provjerava je li magistralni FQDN eksplicitno konfiguriran i povezan s odgovarajućim identitetom Peer certifikata u Control Hubu.

Identitet Peer certifikata unaprijed je popunjen iz osnovnih vrijednosti FQDN/SRV. Ako zadržite zadane vrijednosti , postojeće ponašanje certifikata po trupcu ostaje nepromijenjeno. Postojeći pr tljažnici temeljeni na certifikatima nastavljaju raditi bez izmjena. Možete usvojiti zajednički identitet Pe er certifikata na novim ili postojećim trupcima vlastitim tempom, a oba modela mogu koegzistirati.

1. Primjer valjane konfiguracije:

   • Certifikat CN —sip.tel sp.com

   • Certifikat SAN —custa.sip. telsp.com

   • Identitet vršnjačkog certifikata —custa.sip.telsp.com

   • Prtljažnik FQ DN —trunk.miami.custa.sip.telsp.com

   Rezultat —Veza uspijeva jer identitet Peer cert (custa.sip.telsp.com) odgovara SAN vrijednosti u certifikatu, a trunk.miami.custa.sip.telsp.com poddomena je konfiguriranog identiteta Peer cert.

2. Primjer kvara veze:

   • Certifikat CN —sip.tel sp.com

   • Certifikat SAN —custa.sip. telsp.com

   • Identitet vršnjačkog certifikata —custb.sip.telsp.com

   • Prtljažnik FQ DN —trunk.miami.custb.sip.telsp.com

   Rezultat —Veza ne uspijeva pri TLS stiskanju ruke jer identitet Peer certifikata (custb.sip.telsp.com) nije prisutan u CN ili SAN certifikatu. Trunk FQDN ispravno je poddomena identiteta Peer cert, ali certifikat ne nosi taj identitet.

3. Primjer nevažeće konfiguracije:

   • Certifikat CN —sip.tel sp.com

   • Certifikat SAN —custa.sip. telsp.com

   • Identitet vršnjačkog certifikata —custa.sip.telsp.com

   • Prtljažnik FQ DN —trunk.miami.custb.sip.telsp.com

   Rezultat —Control Hub odbacuje ovu konfiguraciju u vrijeme uštede jer trunk.miami.custb.sip.telsp.com) nije jednak ili poddomena konfiguriranog identiteta Peer cert (custa.sip.telsp.com).

S Partnerskog čvorišta možete pokrenuti Control Hub za CuSTA ili CustB i konfigurirati pristupnik. Koristite ovaj postupak za konfiguriranje za svakog kupca:

1. Stvorite prtljažnik — dodajte prtljažnik u odjeljku Pozivanje/Usmjeravanje poziva/Trunk za svaki zajednički pristupnik partnera. Da biste postavili prtljažnik, pogledajte Konfiguriranje debla, grupa ruta i planova biranja Webex Calling

2. Dodajte domenu i provjerite — dodajte i provjerite sljedeću domenu koja se koristi za izradu debla u odjeljku Upravljanje/Postavke organizacije/Domene.

   KupcB	PrilagođenaERC
   sip.telsp.com	sip.telsp.com

   Dodavanjem domene generira se token i stavlja u TXT zapis za domenu na partner skom DNS poslužitelju. Ovaj zapis omogućuje Control Hubu da provjeri je li domena u vlasništvu partnera. Pojedinosti potražite u odjelj ku Upravljanje domenama

   Zajednička domena koristi se za provjeru svakog kupca. Međutim, budući da se ova verifikacija događa na razini organizacije kupaca, pobrinite se da se generira i koristi drugačiji token za provjeru u svakoj organizaciji kupaca. Budući da se jedna domena koristi u svim organizacijama kupaca, a svaka korisnička organizacija mora neovisno provjeriti domenu koristeći jedinstveni TXT zapis, čak i kada dijeli istu domenu.

   Za identitet Peer certifikata potrebna je samo provjera domene. Ne prijavljujte zajedničku domenu u korisničku organizaciju. Domenu može zatražiti samo jedna organizacija, dok se ista domena može provjeriti u više organizacija.

3. Postavite SBC adresu s FQDN—

   Za prolaz u Miamiju:

   Parametar	KupcB	PrilagođenaERC
   Mjesto	Denver	Boston
   Ime prtljažnika	trunk_miami	trunk_miami
   Vrsta prtljažnika	Na temelju certifikata	Na temelju certifikata
   Vrsta uređaja	npr Cisco Unified Border Element(ili drugi podržani uređaj)	npr Cisco Unified Border Element(ili drugi podržani uređaj)
   SBC Vrsta adrese	FQDN	FQDN
   Naziv hosta	lgw.miami	lgw.miami
   Domena	sip.telsp.com	sip.telsp.com
   Luka	5061	5062
   FQDN	lgw.miami.customerb.sip.telsp.com:5061	LGW.miami.customerc.sip.telsp.com:5062
   Maksimalni broj istodobnih poziva (250-6500)	500	500

   Za prolaz u Chicagu:

   Parametar	KupcB	PrilagođenaERC
   Mjesto	Detroit	Dallas
   Ime prtljažnika	prtljažnik_Chicago	prtljažnik_Chicago
   Vrsta prtljažnika	Na temelju certifikata	Na temelju certifikata
   Vrsta uređaja	npr Cisco Unified Border Element(ili drugi podržani uređaj)	npr Cisco Unified Border Element(ili drugi podržani uređaj)
   SBC Vrsta adrese	FQDN	FQDN
   Naziv hosta	lgw.Chicago	lgw.Chicago
   Domena	sip.telsp.com	sip.telsp.com
   Luka	5061	5062
   FQDN	lgw.chicago.customerb.sip.telsp.com:5061	lgw.chicago.customerc.sip.telsp.com:5062
   Maksimalni broj istodobnih poziva (250-6500)	500	500

   • (Neobavezno) Nazivi prtljažnika ne moraju biti jedinstveni u svim organizacijama kupaca. Ponovna upotreba istog imena (na primjer, trunk_miami) olakšava praćenje prtljažnika.

   • Određeni SBC omogućuju konfiguriranje istog porta, ali ova konfiguracija može utjecati na kapac itet. Stoga koristite različite portove.

4. Identitet vršnjačkog certifikata—

   • Prefiks —Prefiks nije obavezan. Ostavite ga prazno da biste postavili identitet Peer certifikata samo na domenu. Ovo je model podijeljenog certifikata koji se koristi u ovom članku (Peer cert identity—sip.telsp.com, koji pokriva sve grupe kupaca). Po želji unesite prefiks da biste definirali specifičniji identitet certifikata (na primjer, prefiks: CustomerB, Domena: Customerb.sip.telsp.com za certifikat po klijentu). Sam tronski FQDN ostaje definiran SBC adresom Nazivom hosta i poljima domene i mora biti jednak ili poddomeni rezultirajućeg identiteta Peer certifikata.

     Primjer:

     Prefiks — kupcaB

     Domena — sip.telsp.com

     Rezult—customerb.sip.telsp.com

   • Domena: Odaberite domenu s popisa domena provjerenih u organizaciji korisnika. Rezultirajući identitet Peer certifikata (prefiks + domena) mora odgovarati CN ili SAN certifikatu koji vaš SBC predstavlja. Webex Callingkoristi ovu vrijednost za provjeru autentičnosti TLS veze.

     

     Control Hub odbacuje ovu konfiguraciju uz uštedu vremena jer magistralni FQDN nije pod konfiguriranim identitetom Peer certifikata.

     Ako identitet Peer certifikata ne odgovara CN ili SAN u certifikatu koji je predstavio SBC, Webex Calling odbacuje TLS vezu i prtljažnik se ne uspostavi .

5. Korištenje prtljažnika — odaberite bilo koju proizvoljnu lokaciju za prtljažnik zbog sljedećeg:

   • Bilo koje mjesto može koristiti prtljažnik u PSTN vezi.

   • Prtljažniku možete pristupiti kroz grupu ruta.

   • Bilo koji plan biranja može koristiti prtljažnik.

6. Pogledajte definicije prtljažnika s povezanim lokacijama:

   

   Pomoću ovih debla možete stvoriti grupe ruta. Na slici je definirana grupa ruta rg_miami_chicago koja rute poziva na trunk_ miami prtljažnik kao primarnu opciju i na trunk_ chicago deblo kao sekundarnu opciju.

   

   Možete definirati drugu grupu ruta rg_chicago_miami koja usmjerava pozive na trunk_ chicago prtljažnik kao primarnu opciju i na trunk_ miami prtljažnik kao sekundarnu opciju.

7. Definirane debla i grupe ruta sada su dostupni u PSTN opciji Pozivanje veze za svaku lokaciju. Na slici pogledajte lokaciju Denvera.

   

8. U definiciji plana biranja možete koristiti debla i grupe ruta. Na primjer, lokalni rasp on brojeva u Chicagu za kupca podijeljen je kako bi se završio s grupom ruta rg_chicago_miami (za sve lokacije) na slici:

   

   

Opskrba u mjerilu s API-jem

Partneri koji upravljaju velikim brojem korisničkih organizacija mogu pružati domene u velikoj mjeri koristeći API-je umjesto korisničkog sučelja.

• Potvrdite domenu

• Usmjeravanje poziva